Android逆向之Dex文件

最简单的一个 dex 文件-HelloWorld

① 编译 smali 为 dex java -jar smali.jar -o classes.dex HelloWorld.smali ② 查看设备信息 adb devices ③ 上传文件 adb push HelloWorld.zip /data/local ④ 执行程序 adb shell dalvikvm -cp /data/local/HelloWorld.zip HelloWorld

最简单的 dex 文件的分析，主要分为三大块： ① Dex 文件头 ② 各种数据的数组，包括字符串、类型、方法原型、字段、方法 ③ 类数据 ④ 其他

Dex 文件头

字段 1：dex_magic，表示 dex 文件的文件标识，特征字符串字段 2：checksum, 表示校验和，对文件求了 32 位的 hash 值（从字段 3 开始到文件末尾）

字段 3：signature[], 表示 SHA1（沙 one）,对文件求 hash 值（从字段 4 开始到文件末尾）字段 4：file_size，表示文件大小

字段 5：dex 文件头大小字段 6：数据排列方式-小端方式

各种表的大小以及偏移 ① string_ids_size 和 string_ids_off ,字符串表的大小和偏移 ② type_ids_size 和 type_ids_off，类型表的大小和偏移 ③ proto_ids_size 和 proto_ids_off，原型表的大小和偏移 ④ field_ids_size 和 field_ids_off，字段表的大小和偏移 ⑤ method_ids_size 和 method_ids_off，方法表的大小和偏移 ⑥ class_defs_size 和 class_defs_off，类数据表的大小和偏移

各种数据的数组，包括字符串、类型、方法原型、字段、方法 ① 字符串表

字符串表项，是一个字符串数据的偏移，偏移指向的是一个 string_data 结构。 String_data 结构中有两个字段：

字段 1：代表长度，数据类型是 uleb128，变长的数据类型（1-5 字节）字段 2：存储数据，字符串以 0 结尾。 ② 类型表

类型表表项，是一个索引值，类型描述符字符串在字符串表中的索引，图中的索引是 1，表示在字符串表中的数组索引 1 中的元素。

类型描述符包括基本数据类型的描述符和类类型的描述符。 LHelloWorld; 是 HelloWorld 类的类描述符。

③ 原型表

原型表项中存储的是函数原型的各部分描述信息。包括短类型(shorty_idx)、返回类型 (return_type_idx)、参数的类型(parameters_off，最终还是一个指向字符串表的数组下标) 注意：字段为返回类型(return_type_idx)的值，是类型表中的索引。 ④ 字段表

字段表项中内容存储的是字段的信息。包括字段所在类(class_idx)、字段的类型(type_idx)、字段的名称(name_idx), class_idx 是类型表中的索引，type_idx 是类型表中的索引，字段名称的索引是字符串表的数组下标。 ⑤ 方法表

方法表项中存储的是方法的信息，包括方法所在的类(class_idx)、方法的原型(proto_idx)、方法的名称(name_idx)，其中 class_idx 是类型表中的索引，proto_idx 是在原型表中的索引，方法名称的索引是字符串表的数组下标。

类数据类数据也是一个数组，每一个元素就是一个类的相关信息。

在表项中的 class_data 中存储的是类数据，包括类名索引、访问属性、父类索引、接口偏移、源码索引、注解偏移、类数据偏移。

在类数据中有存储类中的字段和方法信息，在每一个方法中的 code_item 结构中有一个字段 insns 数组，存储的是 dalvik 虚拟机指令。指令可以使用 baksmali 反汇编成 smali 代码。 ushort insns[8] = 62 00 00 00 1A 01 00 00 6E 20 01 00 10 00 0E 00 第一字节：